Temukan celah yang memindahkan uang.
Scorpio menganalisis repositori Solidity publik, menyusun ulang jalur perpindahan nilai, dan memberikan bukti yang bisa direproduksi sebelum celahnya sampai ke bug bounty atau ke produksi.
Dari repositori ke bukti yang bisa diperiksa.
Scorpio memperlakukan setiap analisis sebagai rantai penyimpanan bukti teknis. Pertama ia memutuskan apakah repositori masuk cakupan, lalu mengompilasi, memodelkan, dan menyegel hasilnya.
Penerimaan
Memeriksa URL publik, commit, dan ukuran sebenarnya dari kode milik proyek.
Gratis · tanpa kewajibanKompilasi
Menyelesaikan proyek Foundry dan memisahkan kode milik proyek dari dependensinya.
Lingkungan terisolasiPeta ekonomi
Melacak status, hak istimewa, dan jalur yang bisa dilalui nilai.
Konteks antar kontrakSapuan
Menjalankan keluarga yang berlaku dan mengedepankan sinyal yang berdampak ekonomi.
Mesin deterministikPenyerahan
Menyusun laporan dengan temuan yang diurutkan menurut prioritas dan mengembalikannya bersama commit tepat yang dianalisis.
Hasil yang bisa direproduksiPeriksa apakah repositori Anda masuk cakupan.
Preflight menghitung Solidity milik proyek dan milik pihak ketiga secara terpisah sebelum pembayaran apa pun dibuka, dan yang melakukannya adalah layanan sungguhan: ia mengklon repositori dan membaca pohonnya, tanpa mengompilasi dan tanpa menjalankan apa pun dari dalamnya. Gratis, ada kuotanya, dan repositori yang di luar cakupan ditolak di sini, bukan ditagih lalu gagal kemudian.
- ✓ URL dan commit teridentifikasi
- ✓ Kode milik proyek terpisah dari pihak ketiga
- ✓ Harga sudah pasti sebelum pembayaran disetujui
Satu penawaran tersedia. Sisanya ditampilkan supaya arahnya terlihat.
Situs ini memisahkan apa yang bisa dibeli hari ini dari produk yang masih dipersiapkan.
Audit lengkap
harga pasti
Pemeriksaan otomatis atas sepuluh keluarga ekonomi pada repositori Foundry publik dengan maksimal 1.200 berkas Solidity milik proyek.
Periksa repositori ↗Apa yang termasuk
- 10 keluarga analisis ekonomi
- 49 sapuan statis yang terkatalog
- maksimal 1.200 berkas milik proyek
- SHA-256 segel laporan dan commit yang diaudit
Produk yang aktif menganalisis kode di repositori. Ia tidak membaca keadaan rantai saat ini.
Katalog dalam persiapan
Sudah dirancang dan didefinisikan di dalam. Belum dibuka untuk pembayaran.
Quick Scan
Sinyal pertama bagi agen dan otomasi sebelum mulai berinteraksi.
- Sampai 25 berkas
- Sepuluh keluarga yang sama
- Penyerahan dalam JSON
Deep Economic
Analisis ekonomi yang diperluas untuk keputusan otomatis bernilai lebih besar.
- Sampai 150 berkas
- 10 keluarga + keadaan nyata rantai
- Penyerahan bersegel
Large Repository
Harga menyesuaikan ukuran, untuk repositori besar dan monorepo.
- Sampai 1.200 berkas
- Keadaan nyata rantai termasuk
- Penawaran menurut cakupan
Scorpio Developer
Pengalaman web untuk pengembang, dengan pembayaran Web3 atau kartu.
- Sampai 150 berkas
- Laporan visual
- Web3 atau kartu
Protocol Release
Repositori besar, dengan laporan ringkas untuk pimpinan dan pengulangan pada commit baru.
- Sampai 1.200 berkas
- Keadaan nyata rantai termasuk
- Setelah pengulangan stabil
Kelimanya sudah tertulis di katalog layanan dan dimatikan dengan satu sakelar. Tidak satu pun membedakan harga menurut “berapa banyak detektor yang berjalan”: yang berbeda adalah BATAS ukuran yang diterima, apa yang diserahkan, dan apakah keadaan rantai dibaca — dan hanya yang terakhir itu yang benar-benar membuat pekerjaannya mahal.
Lebih banyak sinyal berguna per peringatan, dalam tolok ukur pertama yang diterbitkan.
Pada lima kasus resmi CodeHawks, Scorpio memasangkan 12 temuan dari daftar resmi berbanding 5 milik Slither, dan memunculkan 26 peringatan seluruhnya berbanding 63.
2026MESIN 890777…
Ini sampel kecil dari lima kompetisi, bukan bukti keunggulan menyeluruh. Kolom Scorpio diukur pada 9 September 2026 dengan mesin 890777033a8fc952…, dalam tiga pengulangan identik. Sidik jari mesin yang sedang dijalankan ditampilkan di bagian atas halaman ini: kalau tidak sama, pengukuran berasal dari mesin sebelumnya dan belum diulang dengan mesin hari ini. Kolom Slither berasal dari versi 0.11.5 atas kasus-kasus beku yang sama, diukur pada 6 September; di antara kedua tanggal itu Slither tidak berubah.
Apa saja 14 yang tidak berpasangan itu — menyebutnya “salah” tidak akurat: empat berkategori informatif, yaitu tiga peringatan tentang kontrak tanpa event dan satu catatan tentang asumsi token; itu konteks yang memang sengaja diberikan mesin dan tidak ikut bertanding dalam daftar kerentanan. Tiga menyatakan hal yang benar tentang kodenya — bahwa nilai kembalian transfer ERC-20 tidak diperiksa — yang tidak diterima kompetisi sebagai temuan. Dan satu adalah sakelar satu arah yang ditandai mesin sebagai kecurigaan, karena yang memutuskan apakah itu memang disengaja adalah manusia.
Dari enam yang tersisa, lima adalah celah yang sama dengan satu entri di daftar resmi, hanya dengan nama lain. Pembanding hanya memasangkan bila nama detektornya sama dengan keluarga labelnya, jadi ketika mesin memang menemukan celahnya tetapi menamainya menurut penyebab, bukan menurut akibat, penghitungan menghukumnya dua kali: labelnya dicatat tidak ditemukan dan temuannya dicatat salah. Kelima pasangan sudah diperiksa satu per satu, pada kontrak yang sama dan, pada empat di antaranya, pada fungsi yang sama: kunci yang tak pernah menutup di refund adalah reentrancy CH-05; tenggat yang bisa ditulis ulang adalah CH-07; penelusuran claimants tanpa batas atas adalah MC-08; tanda tangan yang tidak mengikat implementasinya adalah SP-01; dan digest tanpa typehash adalah SP-02. Yang keenam menyatakan hal benar yang tidak dicatat daftar itu.
Penetapan itu dilakukan secara manual dan oleh pihak yang berkepentingan: yang melakukannya adalah orang yang mengerjakan mesin ini. Karena itu angka yang berlaku di halaman ini tetap angka mesin. Bila kelima pasangan yang diakui itu dihitung, hasilnya 17 berpasangan dan 9 tidak, yakni 65,4 % presisi dan 35,4 % cakupan. Ini disebut agar terlihat dari mana selisihnya datang, bukan untuk diklaim.
Scorpio52,6%Mesin yang mengukur dirinya sendiri.
Di depan setiap detektor ada dua kontrak: satu ditulis supaya detektornya berbunyi, satu lagi hampir sama tetapi ditulis supaya tidak berbunyi. Perubahan apa pun yang merusak salah satunya membuat bangku uji menjadi merah, dan tanpa bangku uji yang hijau, image yang melayani pesanan tidak dibangun.
Skor mutasi dengan sengaja mengubah satu baris mesin lalu memeriksa apakah bangku uji menyadarinya. Yang tidak disadari dicatat satu per satu beserta alasannya: mengapa baris itu tidak bisa mengubah hasil, atau kasus seperti apa yang dibutuhkan untuk memicunya. Hari ini tidak ada satu pun yang belum dibaca.
Sepuluh keluarga untuk mengikuti risiko ekonomi.
Setiap keluarga mengumpulkan sapuan yang mencari satu cara tertentu untuk merusak invarian, merebut hak istimewa, atau mengalihkan nilai.
Pembukuan
Saldo, pembulatan, biaya, dan kekekalan nilai.
6 sapuanOracle
Harga, kesegaran data, skala, dan dependensi yang bisa dimanipulasi.
4 sapuanTanda tangan
Replay, pemisahan domain, nonce, dan otorisasi kriptografis.
8 sapuanHak istimewa
Peran, setter, inisialisasi, dan peningkatan kendali.
7 sapuanReentrancy
Panggilan ke luar dan perubahan status yang tidak aman.
4 sapuanPenyimpanan
Tumbukan slot, tata letak, dan kerusakan data setelah pembaruan.
4 sapuanStatus
Transisi yang mustahil, kebuntuan, dan fase yang terlewat.
6 sapuanDana terkurung
Jalur keluar yang tidak ada atau bersyarat selamanya.
4 sapuanPengodean
Tumbukan selektor, calldata, dan asumsi serialisasi.
5 sapuanKeacakan
Sumber acak yang bisa diramalkan dan berdampak pada hasil ekonomi.
1 sapuanPenyerahan yang meninggalkan jejak.
Laporan menghubungkan setiap sinyal dengan tempatnya di kode, dan datang bersama commit tepat tempat sinyal itu muncul.
Invarian nilai rentan
Temuan menurut prioritas
Tingkat keparahan, keyakinan, lokasi, dan dampak ekonomi yang diperkirakan.
Bukti teknis
Jalur di dalam kode dan konteks yang cukup untuk mereproduksi sinyalnya.
Asal
Commit dan pohon tepat dari klon yang dianalisis, dikembalikan bersama laporan.
Yang tidak terukur
Kalau ada sapuan yang tidak sampai selesai, pesanan ditandai INCOMPLETE dan laporannya menyebutkan itu. Kesunyian tidak disajikan sebagai “tidak ada apa-apa”.
Apa yang Scorpio klaim.
Dan apa yang tidak.
✓ Yang diberikan
- Analisis otomatis dan bisa diulang
- Pengurutan menurut dampak ekonomi
- Bukti yang terikat pada kode yang dianalisis
- Commit yang tepat dan segel laporannya
- Status jalannya yang dinyatakan terang-terangan
× Yang tidak dijanjikan
- Nol peringatan palsu
- Cakupan seluruh kerentanan
- Selalu menemukan celah
- Setara dengan audit oleh manusia
- Otomatis berhak atas hadiah
Sebelum menjalankan analisis.
Ketentuan teknis dan komersial yang paling penting, dijelaskan tanpa huruf kecil.
Baca ketentuan lengkap ↗Apakah Scorpio menggantikan audit oleh manusia?
Tidak. Ia mempersempit ruang pencarian dan memberi bukti yang bisa diulang, tetapi tidak menyatakan kontraknya aman dan tidak mencakup seluruh penalaran sebuah tinjauan manusia.
Apa yang bisa dianalisis hari ini?
Repositori publik yang kompatibel dengan Foundry, lolos preflight, dengan maksimal 1.200 berkas Solidity milik proyek. Produk yang aktif tidak membaca keadaan rantai.
Kapan biayanya ditagih?
Preflight gratis dijalankan lebih dulu. Kalau repositorinya masuk cakupan, Scorpio mengembalikan penawaran yang pasti. Analisis mulai begitu pembayaran x402 terverifikasi.
Apa yang terjadi kalau mesinnya gagal?
Pesanan tetap berstatus FAILED dan harga layanan dikembalikan sesuai ketentuan. Biaya jaringan yang bukan milik Scorpio tidak termasuk dalam pengembalian itu.
Berapa lama waktunya?
Katalog memperkirakan sekitar lima menit waktu jalan untuk produk yang aktif. Itu perkiraan teknis, bukan jaminan tingkat layanan: ukuran, kompilasi, dan antrean bisa mengubah waktu totalnya.
Apa arti DONE dan INCOMPLETE?
DONE berarti penyerahan yang direncanakan sudah selesai. INCOMPLETE berarti ada penyerahan sebagian yang batas-batasnya tercatat. PENDING dan FAILED menggambarkan jalan yang masih berlangsung atau yang gagal. EXPIRED muncul setelah 30 hari masa simpan lewat dan penyerahannya sudah dihapus.
Bisakah mengirim repositori privat?
Pada produk saat ini tidak bisa. Jangan mengirim kredensial, token, atau URL privat. Penawaran publik ini dirancang untuk repositori yang bisa diakses tanpa autentikasi.
Bagaimana hasilnya diverifikasi?
Setiap pesanan mengembalikan commit dan pohon tepat dari klon yang dianalisis, sehingga temuan apa pun bisa ditunjuk pada satu revisi tertentu dan ditengok lagi. Versi mesin yang sedang berjalan terbuka untuk umum di /health, lengkap dengan sidik jari isinya.
Sebelum menitipkan nilai,
periksa kodenya.
Preflight gratis dan memastikan cakupannya sebelum permintaan pembayaran dibuat.
Periksa repositori ↗